English
Español
Français
Deutsch
日本語
한국어
العربيةتسجيل مسؤول مفوّض
يمكنه جعل حساب مهاجم مسؤولًا مفوّضًا لخدمة أمنية على مستوى المؤسسة.
يمنح التصعيد بمفرده.
organizations:RegisterDelegatedAdministratorبمفرده، يستطيع organizations:RegisterDelegatedAdministrator جعل حساب مهاجم مسؤولًا مُفوّضًا لخدمة أمنية على مستوى المؤسسة. وعلى نطاق موارد واسع فإن ذلك وحده يصل إلى طريق دائم للعودة إلى الداخل.
لماذا هو خطير
يمكن لكيان رئيسي أن يستدعي organizations:RegisterDelegatedAdministrator لجعل حساب عضو يتحكم فيه المهاجم المسؤول المفوّض لخدمة أمنية (GuardDuty، Access Analyzer، Security Hub)، كاسباً سيطرة على مستوى المؤسسة على ذلك الضابط.
من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1098، التلاعب بالحساب، ضمن تكتيك الاستمرارية. يسجّله AWS في CloudTrail باسم RegisterDelegatedAdministrator. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة العادية، لذا يحتاج إلى قاعدة ليبرز. كما يمنح المهاجم وسيلة للاحتفاظ بالوصول بعد إغلاق الموطئ الأول، لذا يستحق المراقبة حتى عندما يبدو كإدارة روتينية.
الكشف
RegisterDelegatedAdministratorالمتطلبات المسبقة
organizations:RegisterDelegatedAdministrator من حساب الإدارة أو حساب مسؤول مفوَّض، وحساب عضو خاضع للتحكم.
MITRE ATT&CK
T1098 · التلاعب بالحساباتتكتيك
الاستمرارية
من الضوابط التي قد تزيله: قصر organizations:RegisterDelegatedAdministrator على دور طوارئ (break-glass).
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح organizations:RegisterDelegatedAdministrator؟
يمكنه جعل حساب مهاجم مسؤولًا مفوّضًا لخدمة أمنية على مستوى المؤسسة.
هل يمكن لـ organizations:RegisterDelegatedAdministrator تصعيد الامتيازات بمفرده؟
نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى طريق دائم للعودة دون أي إذن آخر.
كيف يتم كشف تسجيل مسؤول مفوَّض؟
راقب RegisterDelegatedAdministrator في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قصر organizations:RegisterDelegatedAdministrator على دور break-glass. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1098، التلاعب بالحسابات، ضمن تكتيك الاستمرارية.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.